一、經(jīng)典權(quán)限管理模型
1.自主訪問(wèn)控制DAC模型
自主訪問(wèn)控制DAC模型是指權(quán)限擁有者可根據(jù)自己的意愿自行授予或者通過(guò)傳遞授予又或者回收權(quán)限給他者。
DAC兩大特點(diǎn)：
(1)自主性，用戶(hù)可以按照自我意愿?jìng)鬟f支配其擁有的訪問(wèn)權(quán)限。
(2)傳遞性，可以自行決定將其訪問(wèn)自主權(quán)傳遞給其他用戶(hù)。如初始狀態(tài)，僅僅用戶(hù)A擁有O資源的操作權(quán)限，用戶(hù)B和用戶(hù)C沒(méi)有；此時(shí)用戶(hù)A將此權(quán)限授權(quán)給用戶(hù)B，后用戶(hù)B便擁有和用戶(hù)A擁有一樣的O資源訪問(wèn)權(quán)，與此同時(shí)用戶(hù)B也具備了自由支配權(quán)，亦可以由用戶(hù)B將此訪問(wèn)權(quán)限分配給用戶(hù)C，這樣用戶(hù)A、B、C同時(shí)具有了O資源的訪問(wèn)權(quán)限。
2.強(qiáng)制性訪問(wèn)控制MAC模型
強(qiáng)制性訪問(wèn)控制MAC模型，是指基于不同信息資源采用不同層次的安全訪問(wèn)策略，系統(tǒng)管理員或操作系統(tǒng)按照規(guī)則為訪問(wèn)者和被訪問(wèn)系統(tǒng)資源分配不同安全級(jí)別并貼上不同的敏感標(biāo)簽。當(dāng)訪問(wèn)者提出對(duì)某被訪問(wèn)系統(tǒng)資源的訪問(wèn)請(qǐng)求時(shí)，首先對(duì)比分析兩者的安全級(jí)別，再判定訪問(wèn)者可否訪問(wèn)該系統(tǒng)資源，再對(duì)其進(jìn)行何操作，這樣就實(shí)現(xiàn)了信息的單向流通，充分保障系統(tǒng)客體資源的安全完整不泄露，有效預(yù)防相應(yīng)的非法越權(quán)和篡改等行為發(fā)生。
3.基于角色的權(quán)限管理RBAC
基于角色的權(quán)限管理RBAC模型，采用了用戶(hù)-角色-權(quán)限三層結(jié)構(gòu)模型，引入了角色概念，具體表示公司內(nèi)部員工在系統(tǒng)中的職能分工，一定數(shù)量權(quán)限的集合，擔(dān)任著橋梁一角，中間媒介的作用；同時(shí)新提出了“會(huì)話”概念，它表示角色集和用戶(hù)集之間的一個(gè)映射，其中會(huì)話和用戶(hù)之間屬于多對(duì)多關(guān)系。RBAC模型如圖1.1所示。
圖1.1 基于角色的模型示意圖
4.基于任務(wù)的訪問(wèn)控制
基于任務(wù)的訪問(wèn)控制TBAC模型DAC、MAC和RBAC顯然不太適用于工作流管理系統(tǒng)，因?yàn)殡S著工作流任務(wù)的執(zhí)行，操作人以及對(duì)應(yīng)權(quán)限隨之變動(dòng)。DAC和MAC很難做到這一點(diǎn)，而RBAC則需要頻繁更換角色，這就迫使我們必須考慮新的訪問(wèn)控制，也就是TBAC（Task Based Access Control）。TBAC模型，引入了新概念“任務(wù)”，可動(dòng)態(tài)實(shí)時(shí)授權(quán)；同時(shí)與項(xiàng)目運(yùn)行狀態(tài)有關(guān)，狀態(tài)不同，對(duì)應(yīng)授予的權(quán)限亦不同。TBAC模型模型如圖1.2所示。
圖1.2 基于任務(wù)的訪問(wèn)控制模型示意圖
二、PDM系統(tǒng)對(duì)數(shù)據(jù)權(quán)限管理的實(shí)現(xiàn)方式
PDM系統(tǒng)對(duì)于權(quán)限的管理方式主要是基于角色的管理和基于任務(wù)的訪問(wèn)控制。
基于角色的管理方式，是對(duì)角色賦予一定的靜態(tài)權(quán)限，這種權(quán)限的控制方式相對(duì)于自主訪問(wèn)控制，更有利于對(duì)權(quán)限進(jìn)行控制，使數(shù)據(jù)的安全性得到保障。相對(duì)于強(qiáng)制性訪問(wèn)控制授權(quán)更加靈活，對(duì)于授權(quán)頻繁變動(dòng)的系統(tǒng)可以減少很多系統(tǒng)管理員的工作量。此外，可以根據(jù)實(shí)際工作需要給用戶(hù)最小的必需權(quán)限，避免權(quán)限過(guò)大對(duì)數(shù)據(jù)安全帶來(lái)的不利。
在PDM系統(tǒng)中主要是通過(guò)策略管理器來(lái)實(shí)現(xiàn)基于角色的管理，這主要取決于五個(gè)要素：角色、數(shù)據(jù)類(lèi)型、數(shù)據(jù)的狀態(tài)、數(shù)據(jù)存放位置、權(quán)限，通過(guò)這五個(gè)要素的不同組合，實(shí)現(xiàn)對(duì)不同角色賦予不同的權(quán)限，具體如圖2.1所示。
圖2.1 靜態(tài)權(quán)限的五個(gè)要素關(guān)系圖
基于任務(wù)的訪問(wèn)控制在PDM系統(tǒng)中主要是通過(guò)生命周期管理（具體如圖2.2所示）和工作流管理來(lái)進(jìn)行實(shí)現(xiàn)的，即通過(guò)程序直接對(duì)指定的用戶(hù)針對(duì)當(dāng)前的對(duì)象賦予讀取、更改的權(quán)限，由于這種權(quán)限是動(dòng)態(tài)的，所以當(dāng)簽審過(guò)后其被賦予的權(quán)限會(huì)被系統(tǒng)收回，從而實(shí)現(xiàn)了實(shí)時(shí)授權(quán)。
圖2.2 生命周期管理示意圖
三、企業(yè)對(duì)EPM數(shù)據(jù)的權(quán)限管理
現(xiàn)在的企業(yè)面臨著激烈的競(jìng)爭(zhēng)，企業(yè)需要在短時(shí)間內(nèi)不斷推出新的產(chǎn)品；另外，市場(chǎng)對(duì)產(chǎn)品的價(jià)格高度敏感，那么研發(fā)成本的控制就顯得格外重要。
縮短產(chǎn)品開(kāi)發(fā)周期、減少產(chǎn)品的成本，一個(gè)很重要的方式就是在產(chǎn)品的開(kāi)發(fā)過(guò)程中更多的選擇借用以往開(kāi)發(fā)機(jī)型的零部件、標(biāo)準(zhǔn)件或者通用件，這就需要盡可能把零部件的借用權(quán)限賦予給更多的設(shè)計(jì)員。但是與此同時(shí)還要考慮以下的問(wèn)題：
（1）如何滿足涉及企業(yè)核心技術(shù)零部件的保密需求；
（2）如何避免設(shè)計(jì)員借用未受控的數(shù)據(jù)；
（3）不同的開(kāi)發(fā)機(jī)型項(xiàng)目，成員、項(xiàng)目經(jīng)理都不相同，如何滿足不同項(xiàng)目組成員的權(quán)限需求，同時(shí)不增加系統(tǒng)管理員的工作負(fù)擔(dān)。
其實(shí)，針對(duì)這些問(wèn)題可以通過(guò)策略管理器中五個(gè)要素的進(jìn)行組合解決各種權(quán)限要求。根據(jù)需要，可以對(duì)五個(gè)要素進(jìn)行如下分類(lèi)：
(1)數(shù)據(jù)類(lèi)型：按照數(shù)據(jù)類(lèi)型分為EPM文檔和Part；
EPM文檔：三維軟件通過(guò)與PDM系統(tǒng)的集成，可以將通過(guò)其所繪制的三維模型和二維工程圖上傳至PDM系統(tǒng)，該類(lèi)文件稱(chēng)之為EPM文檔。
Part：Part又被稱(chēng)之為部件，不僅可以體現(xiàn)物料的屬性，同時(shí)可以表示該零部件與其他零部件之間的上下級(jí)關(guān)系。
（2）數(shù)據(jù)狀態(tài)：按照狀態(tài)可以分為正在工作（表示數(shù)據(jù)還沒(méi)有走簽審流程），正在審閱（表示數(shù)據(jù)在簽審的過(guò)程中），已受控（表示數(shù)據(jù)已完成簽審并受控）；
（3）存儲(chǔ)位置：按照存儲(chǔ)位置可以新建三類(lèi)產(chǎn)品庫(kù)：通用件庫(kù)、公用產(chǎn)品庫(kù)、項(xiàng)目保密庫(kù)；
（4）操作權(quán)限:按照權(quán)限分為創(chuàng)建、讀取、下載、修訂、移動(dòng)、更改權(quán)限；
（5）用戶(hù)角色：按照角色可以分為項(xiàng)目經(jīng)理、項(xiàng)目成員、借用人員。對(duì)產(chǎn)品經(jīng)理賦予管理權(quán)限（即移除和添加團(tuán)隊(duì)成員及借用人員的權(quán)限），對(duì)項(xiàng)目成員角色賦予讀取+下載+修訂+創(chuàng)建的權(quán)限（即創(chuàng)建、讀取、下載和修訂產(chǎn)品庫(kù)數(shù)據(jù)的權(quán)限），對(duì)于借用人員角色賦予借用已發(fā)放數(shù)據(jù)的權(quán)限。
對(duì)于比較成熟且經(jīng)常被借用的數(shù)據(jù)一律放到通用件庫(kù)，然后把有可能用到這些數(shù)據(jù)的設(shè)計(jì)員都加到“借用人員”角色，從而保證數(shù)據(jù)方便更多的人借用；把專(zhuān)門(mén)負(fù)責(zé)通用件管理的人員添加到“項(xiàng)目經(jīng)理”角色，通過(guò)對(duì)不同角色的調(diào)整來(lái)實(shí)現(xiàn)通用件庫(kù)中數(shù)據(jù)修訂權(quán)限的開(kāi)通和收回。
而對(duì)于保密的數(shù)據(jù)，可以根據(jù)需要新建多個(gè)項(xiàng)目保密庫(kù)，把項(xiàng)目負(fù)責(zé)人添加到“產(chǎn)品經(jīng)理”角色，項(xiàng)目經(jīng)理根據(jù)實(shí)際需要把必要人員加入到“項(xiàng)目成員”角色中以方便項(xiàng)目組成員檢入和修改數(shù)據(jù)，而且項(xiàng)目負(fù)責(zé)人可以根據(jù)實(shí)際需要對(duì)“成員”角色進(jìn)行調(diào)整，從而保證保密數(shù)據(jù)的安全性。
四、小結(jié)
權(quán)限管理是企業(yè)在PDM系統(tǒng)使用過(guò)程中所無(wú)法回避的一個(gè)難題，如果對(duì)權(quán)限的管理過(guò)嚴(yán)則影響數(shù)據(jù)的查看和借用，但是如果過(guò)松又會(huì)有肯能導(dǎo)致保密數(shù)據(jù)泄密，這不僅涉及到靜態(tài)權(quán)限設(shè)置，而且涉及到動(dòng)態(tài)權(quán)限設(shè)置。本文首先對(duì)權(quán)限管理的經(jīng)典模型及PDM系統(tǒng)中權(quán)限管理方式進(jìn)行了介紹，另外企業(yè)的具體需求對(duì)靜態(tài)權(quán)限設(shè)置提出了可行的方案。
核心關(guān)注：拓步ERP系統(tǒng)平臺(tái)是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴(lài)品牌。
轉(zhuǎn)載請(qǐng)注明出處：拓步ERP資訊網(wǎng)http://www.vmgcyvh.cn/
本文標(biāo)題：PDM系統(tǒng)權(quán)限管理方式及在企業(yè)應(yīng)用的研究
相關(guān)文章
